Kremlə bağlı hakerlər sayt ziyarətçilərini hədəf almaq üçün iOS və Android boşluqlarından istifadə edib

Tədqiqatçılar çərşənbə günü bildirdi ki, Rusiyanın Xarici Kəşfiyyat Xidmətinə mümkün əlaqəsi olan hücumçular bir neçə saytın, o cümlədən Amerika müstəqilliyinin 250 illiyi ilə bağlı saytın ziyarətçilərini hack etmək cəhdində əvvəlcədən yamalanmış iOS və Android boşluqlarından istifadə edib. Hücumlar cihazları profiləşdirmək üçün daxil edilmiş JavaScript-dən istifadə edib, sonra brauzer kukilərini oğurlamağa, bəzi hallarda isə Wi-Fi parollarını və mobil cihazın tam məlumatlarını əldə etməyə yönəlmiş sıfır klik istismar zəncirləri göndərib.

Təqlid edilmiş və pozulmuş saytlar

Təqlid edilmiş saytlardan biri america250.org idi; bu sayt qanunvericilər, biznes rəhbərləri və ən azı bir keçmiş Trump administrasiyası üzvündən ibarət partiyasız qrupa məxsus idi. Hücumçular america250.holiday domenini qeydiyyatdan keçirib və onu america250.org saytına tərs proksi kimi istifadə edərək real məzmunu əlavə zərərli JavaScript ilə birlikdə çatdırıb. Sekoia tədqiqatçıları bildirdi ki, bu hücum dəsti yüksək profilli milli bayramla əlaqəsinə görə saytı qəsdən seçmiş ola bilər və hadisəni dəvət mövzulu hədəflənmiş fişinq kampaniyaları üçün bəhanə kimi istifadə etmiş ola bilər.

İkinci sayt theowo.club idi; bu sayt Raffles of London OWO otelinin proxy-si kimi çıxış edirdi. Bu lüks otel Böyük Britaniya hökumət qurumlarına, o cümlədən Müdafiə Nazirliyinə və 10 Downing Street-ə fiziki cəhətdən yaxındır. Açıq mənbə hesabatlarına görə, Ukrayna Prezidenti Volodimir Zelenski oktyabrın 14-də səfəri zamanı orada qalıb. Tədqiqatçılar bildirdi ki, bu sayt diplomatik nümayəndəlikləri və yüksək profilli qonaqları hədəflənmiş fişinq kampaniyaları vasitəsilə hədəf almağa çalışmış ola bilər.

Hücumçular həmçinin pozulmuş saytlardan istifadə edib; bunlara Ukraynanın aparıcı qaz istehsalı şirkəti və minlərlə sayta xidmət göstərən Ukrayna veb analitika xidməti daxildir.

İstismar zəncirləri və atribusiya

Sekoia-nın Kremlə atribusiyası hədəf profillərinə və əvvəllər APT29 adlı şübhəli rus qrupuna aid edilmiş hücumla oxşarlıqlara əsaslanır; APT29 şübhəli rus qrupu üçün istifadə olunan adlardan biridir. Hackerlər üç infeksiya vektorundan istifadə edib: legitim saytların trafikinə birbaşa JavaScript daxil etmə, america250.holiday kimi proxy domenlər və Ukrayna veb analitika xidmətinin təchizat zəncirinin pozulması. Hər halda daxil edilmiş JavaScript eyni olub.

İlk mərhələdə JavaScript ziyarətçinin brauzerini və cihazını profiləşdirib. Daha sonra hücumçular bu məlumatdan istifadə edərək hədəfin qarşılıqlı əlaqəsini tələb etmədən işləyən üç sıfır klik istismar zəncirindən birini çatdırıb. Zəncirlərdən biri DarkSword idi; Google tədqiqatçıları bildirdi ki, bu iOS istismar dəstindən Türkiyədə kommersiya nəzarət satıcısı olan PARS Defense müştəriləri və ən azı iki digər təhlükə aktoru istifadə edib. Sekoia bildirdi ki, daha yeni kampaniya adlandırılmamış iki digər istismar zəncirindən istifadə edib.

Kampaniyada istismar olunan bütün boşluqlar artıq yamalanmışdı. Hücumlar yalnız iOS və ya Android-in köhnə versiyalarında işləyirdilər.

Mənbələr: Ars Technica